Drum prüfe, wer sich ewig bindet

Die IT-Betriebsmodelle sind auch schon schlanker gewesen. Mit all den Verschachtelungen von internen und externen Cloud-Diensten und Komponenten bestehen heute gewachsene Betriebsmodelle mit gut und gerne weit über 100 Lieferanten und Serviceprovidern. Die Lieferketten verändern sich laufend, denn Sourcing liegt im Trend. Gerade jetzt, wo die Cloud wohl nun definitiv auch bei unseren regulierten Banken und Versicherungen zur zentralen Service-Delivery-Strategie gehört, gibt es kein Halten mehr. Mit ein paar wenigen Klicks ist eine neue Cloud aktiviert und nutzungsbereit. Aber auch mit Eigenentwicklungen auf ausgereiften PaaS-Plattformen mit Funktionen wie Serverless-Computing lassen sich neue Anwendungen agil und schnell bereitstellen, ohne dass hier noch irgendjemand Hand anlegen muss. Aus Sicht des eingeübten und agilen Softwareentwicklers ist das sehr komfortabel und bietet schier unbegrenzte Möglichkeiten zur Integration frei verfügbarer Features. Diejenigen aber, die letztlich die Verarbeitungen aus rechtlicher und regulatorischer Sicht verantworten müssen, tun sich eher schwer, weil sie in der Regel nicht wissen, was wo, wie verarbeitet wird. Zudem ändert sich das gesamte Service-Ökosystem laufend und es gibt zu keinem Zeitpunkt einen klar definierten Zustand mehr.

Bei allem Verständnis für die Vorzüge dieser Technologie zur Unterstützung der geschäftsbedingten Dynamik: Das Steuer und damit die Kon­trolle aus der Hand zu geben, kann schlicht nicht die Lösung sein. Nicht zu wissen, wer und wo auf Daten des Unternehmens zugreift und unter welcher Jurisdiktion diese verarbeitet und gespeichert werden, lässt sich schon mit dem Datenschutzgesetz nicht vereinbaren. Aber wie soll das gehen, wenn die direkte Kontrolle selbst nicht mehr möglich ist? Was bleiben noch für Optionen, wenn der Cloud-Provider den Einblick in seine internen Prozesse verweigert und partout nichts an seinem Standard-Service anpassen will? Ist das Risiko dieser Intransparenz mit all ihren Gefahren und Bedrohungen nicht einfach der Preis für diese unbestrittenen Geschäftsvorteile? Braucht es für diese zukunftsweisende Technologie nicht einfach auch etwas mehr Vertrauen in die Partner?

Sourcing-Partnerschaften sind tendenziell längerfristig und brauchen bestimmt Vertrauen – jedoch sicher kein blindes. Die Cloud-Technologie basiert auf gemeinsamer Verantwortlichkeit zwischen Provider und Kunden, wobei jeder seinen Beitrag leisten muss. Die Anforderungen seitens Regulierungen, Gesetze, Verträge oder einzuhaltenden Standards bilden die Grundlage eines Compliance-Programms, das automatisiert den Zustand der Regeleinhaltung mit der vorhandenen Risikobereitschaft abgleicht. Reife Cloud-Provider sind sich dessen wohl bewusst und entsprechend auch transparenter. Es reicht nicht, bloss die Technik zu beherrschen, sondern man muss auch alle anderen Fragen klären und deren Umsetzung überwachen. Denn wie sagte einst Friedrich Schiller: "Drum prüfe, wer sich ewig bindet, ob sich das Herz zum Herzen findet. Der Wahn ist kurz, die Reu’ ist lang."